隐私政策、Cookie 政策与 Cookie 横幅的区别

使用这条快速决策路径：

1. 统计网站加载的非必要工具：分析工具、广告像素、聊天插件、视频嵌入和测试工具。
2. 如果数量很少且很少变化，就在隐私政策中设一个 Cookie 章节。
3. 如果数量很多，或者您的营销团队经常添加代码，就发布一个单独的 Cookie 页面，并从隐私政策和同意工具中同时链接到它。
4. 无论选择哪种方式，都要统一命名每个工具，并为用户提供一个显而易见的更改选择的入口。

还有一个许多小网站忽略的选择：少用追踪技术。每删掉一个代码，就少维护一项披露、少收集一次同意、少审查一个供应商。注重隐私的分析配置、自行托管的字体以及点击后加载的视频嵌入，可以大幅缩短您的 Cookie 清单。

如果您正在从零开始搭建网站，我们关于如何为网站制作隐私政策的指南介绍了完整流程，包括 Cookie 披露应放在哪里。

隐私政策涵盖您处理个人数据的每一种方式：表单、账户、购买、邮件、客服、分析、广告等等。它说明目的、法律依据、接收方、跨境传输、保存期限和权利。

Cookie 政策涵盖的问题更窄：哪些技术会在访客设备上存储或访问信息，以及为什么。这包括：

• HTTP Cookie，包括第一方和第三方 Cookie
• 本地存储和会话存储
• 追踪像素和网络信标
• 读取设备标识符的 SDK 和脚本
• 指纹识别技术

两者的重叠很大。大多数分析和广告 Cookie 都会处理个人数据，因此本来就应写进隐私政策。Cookie 政策增加的是细节：具体的工具或 Cookie 名称、存续时间，以及如何更改选择。

因此，对于隐私政策与 Cookie 政策之争，诚实的回答是：Cookie 政策通常是隐私政策的一个专门延伸，而不是一套有自己文件要求的独立法律制度。真正的法律问题在于您的信息是否完整，以及在法律要求时是否取得了同意。

法律并不要求。您的义务是提供人们容易找到的清晰全面的信息。这些信息放在哪里，由您决定。

在以下情况下，在隐私政策中设一个章节效果很好：

• 您只使用少数几个工具，例如一个分析服务和必要的会话 Cookie
• Cookie 信息用一个简短的列表或表格就能放下
• 您希望只维护一份文件

在以下情况下，单独的 Cookie 政策页面效果更好：

• 您加载了许多代码、像素或广告供应商
• 供应商清单经常变化，您希望更新它而无需重新发布整份隐私政策
• 您的同意工具会链接到一份详细的 Cookie 清单

如果分开发布，请让两个页面相互链接，并对每个工具使用相同的名称。一边在隐私政策中说您不使用广告 Cookie，一边在 Cookie 清单中列出一个广告像素，这正是监管机构和喜欢投诉的访客会注意到的那种矛盾。

您是否还需要 Cookie 横幅是另一个问题，详见需要 Cookie 横幅吗。

无论是单独的页面还是隐私政策中的一个章节，一份有用的 Cookie 披露都应涵盖：

1. 这些技术是什么，用通俗的语言说明：Cookie、本地存储、像素、SDK。
2. 类别和用途：严格必要、偏好、分析、广告，以及每一类在您的网站上实际做什么。
3. 由谁设置：您自己的第一方 Cookie，以及写明名称的第三方，例如分析或广告服务商。
4. 存续时间：仅限会话，或每一项保留多久。
5. 同意和选择：哪些类别需要同意、如何接受或拒绝，以及日后如何撤回。
6. 浏览器控制：指向浏览器设置以及您真正支持的任何退出工具。
7. 链接：链接到隐私政策，了解权利、法律依据、跨境传输和联系方式。
8. 最后更新日期。

一个条目的简短示例：“分析。我们的分析服务商会设置 Cookie，记录浏览的页面和访问时长，以便我们了解网站的使用情况。仅在您同意后设置。12 个月后过期。”这样写具体、可验证且诚实。

关于针对具体工具的措辞，请参阅分析工具隐私披露和 Google Analytics 隐私政策指南。

这三样东西经常被混淆：

• Cookie 横幅或同意工具：在非必要技术加载前征求同意、并允许用户日后更改选择的界面。它关乎网站上的行为。
• Cookie 政策或 Cookie 章节：对技术、用途、服务商和存续时间的书面说明。它关乎信息。
• 隐私政策：关于所有个人数据处理的完整告知，在涉及个人数据时也包括 Cookie。

只有横幅而没有政策，就是要求用户同意一些他们无从了解的事情。在需要取得同意的地方，只有政策而没有横幅，能说明您在做什么，却不能使其合法。在欧盟和英国，使用分析或广告 Cookie 的网站通常两者都需要：通过有效的机制取得同意，并通过政策提供信息。

关于工具，需要说明清楚：Legal Policy Generator 撰写的是隐私政策文本，包括根据您的回答生成的 Cookie、分析和追踪披露。它不提供 Cookie 横幅或同意管理工具。您需要把政策与自己选择的同意机制搭配使用，并确保两者以相同的方式描述相同的工具。

在欧盟，这一规则来自《电子隐私指令》第 5(3) 条。只有在用户获得了清晰全面的信息，尤其是关于目的的信息，并给予同意后，才允许在用户设备上存储信息或访问已存储的信息。例外情形包括仅为进行通信所需的存储或访问，或为提供用户明确请求的服务而严格必要的存储或访问。

欧洲数据保护委员会的第 2/2023 号指南确认，这一规则的适用范围超出了传统的 Cookie，延伸到追踪像素、追踪链接、本地存储以及某些形式的设备指纹识别等技术。

在英国，《隐私和电子通信条例》第 6 条规定了同等规则。ICO 关于存储和访问技术的现行指引指出，信息应涵盖所使用的技术、其用途、所涉及的任何第三方以及信息的存储期限。英国还为其同意规则新增了一些例外，详情请查阅 ICO 的最新指引。

当 Cookie 涉及个人数据时，GDPR 和 UK GDPR 第 12 条至第 14 条的透明度义务同样适用。这些规则都没有规定文件的标题。

美国法律没有类似《电子隐私指令》那样的一般性 Cookie 同意规则，但 Cookie 披露仍然很重要。

• CalOPPA 要求商业网站的隐私政策披露其如何回应浏览器的“请勿追踪”信号，以及其他方是否可能长期跨不同网站收集用户在线活动的个人身份信息。
• CCPA 和 CPRA 将通过 Cookie 收集的标识符视为个人信息。您的隐私政策必须描述您收集的类别，以及您是否出售或共享个人信息（这可能涵盖许多跨情境广告设置），并说明人们如何选择退出。
• 其他州的隐私法要求就定向广告提供类似的告知，并赋予选择退出定向广告的权利。

这些法律都不要求一份单独命名的 Cookie 政策。隐私政策中一个结构良好的 Cookie 和追踪章节通常就能完成披露方面的工作，而选择退出链接和偏好信号则在网站本身上处理。

详情请参阅 CCPA 和 CPRA 隐私政策要求以及广告隐私披露。

Cookie 信息过时的速度几乎比隐私政策的其他任何部分都快，因为营销工具的变更往往不经过代码审查。建立一套简单的例行流程：

• 定期扫描。在一个干净的浏览器配置文件中打开网站，先拒绝再接受同意，并列出每种状态下加载的内容。
• 检查每一个新代码。在任何新像素、嵌入内容或脚本的上线检查清单中加入披露复查。
• 比较政策、横幅和实际情况。三者应写明相同的工具。
• 每当清单变化时更新日期。

当您使用 Legal Policy Generator 生成政策时，您会告诉它您使用哪些分析、广告和追踪技术，Cookie 和追踪披露就根据这些回答生成。当您的工具发生变化时，请更新回答并重新生成，而不是手动修补文本。问卷和完整预览均免费，无需注册账户，简易 HTML 或 PDF 下载也免费。

生成的文本反映的是您的回答，不构成法律建议。同意本身仍需由您网站的同意机制来处理。